Vds и iptables — нужно ли? Как поступить в моём случае?

Question

[Виктор Лось]

Доброго времени суток, плохо разбираюсь(очень) в сис.администрировании.
Имеется вдс, на нём крутится сайт (сервис).Сайт опрашивает некое множество серверов(игровых),( stream_socket_client('tcp://...) порты и ip адреса разные.
Vds надо же как то защищать, но как? (Из безопасности, только порт ssh сменил) Закрыть входящие соединения кроме(:80 и порта ssh) ?
А исходящие не закрывать?
Вот как то так, надеюсь я корректно выразил свою проблему.

Answer 1

[Алексей Черемисин]

1) закрыть все входящие. Если http сервер не стоит, то закрыть и 80
2) убрать вход root по ssh, сделать пользователя и sudo, пользователю сгенерировать сертификат и сгенерировать длинный пароль. Убрать вход по ssh по паролю для всех.
Вход удаленно только по сертификату, а рута получать по паролю!
3) установить fail2ban
4) желательно установить firewall, который нагенерит правильных правил на syn-flood и прочее. Например firehol. Это же и к пункту 1) относится.
5) этого достаточно, но можно и поставить сервисы в docker или в lxc.

Comments

[Виктор Лось]

спасибо, всё в принципе понятно, а что если я потерею, этот, сертификат?)

[Александр Кубинцев]

еще рекомендуется порт ssh сменить с дефолтного 22 на какой-нибудь нестандартный, дабы минимизировать попытки доступа от ботов

[Алексей Черемисин]

itnetchannel: если потерять сертификат, всегда можно войти через консоль по паролю. Обычно для этого есть bmc или ip-kvm.

[Алексей Черемисин]

akubintsev: да, можно и не делать, можно делать. По моему без разницы, если только сертификаты...